fix(nfse): reject obsolete fiscal configuration endpoints and scope ADN view (#419 #421)

[vitormattos]

Justificativa

Épico #417 veda escrita na configuração fiscal nfse.* antiga e perfis de certificado por CNPJ. A UI por empresa (#420) não usa esses formulários, mas as rotas HTTP de legado continuavam permitindo gravação de identidades fiscais fora do perfil e de certificados sem vínculo company_id.

Correção delimitada

• Mantém os nomes das rotas legadas por segurança de compatibilidade HTTP, mas mutações de configuração geral, ISSQN, federal e upload/exclusão de certificados pelo contrato antigo respondem 410 Gone após middleware nativo de permissão.
• Novo controlador mínimo somente para rejeição. Endpoints de consulta PFX, configuração global Vault e WebDAV nativa permanecem disponíveis.
• Tela ADN pré-preenche CNPJ exclusivamente pelo perfil empresarial ativo; sem perfil, campo fica vazio em vez de ler dados obsoletos.
• Testes Feature provam que rotas deprecadas não alteram parâmetros antigos e que Vault global ainda salva normalmente.
• Documentação operacional atualizada.

Dependências de integração

A confirmação municipal passa a ser administrada pelo perfil no PR #486. Os PRs #483/#482/#484 complementam a remoção dos demais leitores legados. Não integrar esta mudança antes do #486 quando a confirmação municipal for relevante no ambiente.

Validação e governança

Dois commits incrementais Conventional Commits com DCO e assinatura Git Signing MCP. Sem emissão fiscal real. PR draft até CI da SHA final e aprovação independente exigida pelo ruleset; não mudar CODEOWNERS/proteções nem usar bypass/squash.

Revisão adicional de segurança (#421)

• Todas as entradas administrativas ADN de consulta, revisão e importação agora recusam contexto sem empresa ativa, inclusive o acesso direto ao controller.
• A fila de revisão e a conciliação local recusam buscas sem proprietário, evitando ampliação de consultas a todos os tenants.
• Teste Feature sintético reproduz ausência de contexto empresarial, verifica 404 nas operações e ausência de resultados na fila/conciliação.
• Corrigido por commits incrementais assinados com DCO nesta revisão. A alteração não modifica o protocolo ADN ou emissões fiscais reais.

Falha intermitente identificada na integração

A CI de integração com a main apresentou falha em CompetenceClosingReportTest::testClosingAndCsvExcludeForeignCompanyFiscalDocuments. A falha foi reproduzida com chaves sintéticas iguais por colisão do gerador de fixtures (random_int(1, 8) repetido 50 vezes); não demonstrou vazamento fiscal. A correção isolada e determinística está no PR #494, cuja CI passou. Revalidar os checks de integração desta branch depois que #494 for integrado. Não aumentar timeouts, ignorar asserções nem aprovar este PR com teste falhando.